UTM时代是否真的来临？（技术篇）

在市场篇中，我们讨论了UTM的概念和标准，分析了市场研究机构的预测，回顾了UTM产品的市场表现。UTM市场虽然火热，但这些来自市场的声音是否真正代表了用户的心声呢？本篇我们从根源着手，就用户需求、UTM技术的演绎为大家做深入的剖析 ，看看UTM时代是否真的来临？它是否已经是一个成熟的安全解决方案？

一、用户需求

用户为什么需要UTM产品？这需要从外因和内因两个方面来分析。

1、外因

从当前安全形势就可以看出端倪。近几年来，随着互联网的发展，黑客攻击技术也在不断变化，网络安全呈现出很多新的问题，表现为：

●攻击手段更加灵活，混合攻击急剧增多。当前的黑客手段和计算机病毒技术结合日渐紧密，攻击效果更显著，例如Nimda、CodeRed等网络蠕虫造成很大危害。

●系统漏洞发现加快，攻击爆发时间变短。近年来新的计算机安全漏洞不断被发现，使网管员疲于奔命，"零日"攻击威胁严重。

●电子邮件问题严重，间谍钓鱼威胁安全。垃圾邮件和病毒是困扰电子邮件的两个主要问题，不仅占用网络带宽和服务器资源，浪费用户时间，还带来病毒和恶意代码。

所以传统安全解决方案，如单一的防火墙、单一的防病毒已经无法有效解决这些问题。

2、内因

UTM是统一威胁管理的缩写，是集成包括防火墙、VPN、IDS/IPS、防病毒、防垃圾邮件、网址过滤、内容过滤等多种功能于一体的安全设备，它具有以下优势：

●提高安全性。UTM设备将多种安全功能融合在一起，成为防御混合型攻击的"利剑"。混合型的攻击可能攻破单点型的安全方案，但却很可能在统一安全方案面前"败下阵来"。

●降低复杂性。UTM设备一体化的设计，简化了产品选择、集成和支持服务的工作量。简单的放置、方便的安装是UTM设备的优点。

●减少维护量。UTM设备通常都是即插即用的，只需要很少的安装配置。作为单一的设备，更容易排查故障。这项特性对于那些没有专职技术人员的小企业显得尤为重要。

二、技术实现

UTM设备虽然集成包括防火墙、VPN、IDS/IPS、内容过滤等多种技术于一体，但由于目前的UTM厂家没有能力掌握全部技术，往往在一种核心技术的基础上加入其他技术，从而衍生出来UTM。因此就出现了UTM产品以什么为核心的纷争。

目前来看，UTM设备主要有三种出身：一种是从防火墙技术衍生出来的，一种是从防病毒技术衍生出来的，还有一种是从入侵检测/保护技术衍生出来的。一时间，不同技术出身的UTM产品厂商均表明自身技术上有优势，而对方技术有瑕疵。以防火墙为核心开发UTM是目前大多数UTM厂商的做法，正是因为如此，IDC在一份调查报告中宣称"UTM将有可能取代防火墙，成为人们首选的安全设备"。

从发展方向看，未来将不存在防火墙、防病毒、入侵检测技术等谁为核心的问题，因为UTM设备中各种技术的"深度融合"才是大势所趋。在此之前的各种UTM产品仅仅是打着UTM旗号的防火墙、防病毒或入侵检测/防御产品，离真正意义上的UTM差距还很远。

从技术角度来说，实现UTM需要无缝集成多项安全技术，达到在不降低网络应用性能的情况下，提供2-7层的安全防护，所以以下一些关键技术实现了，才能说是达到了UTM的部分预期目标：

1、高性能的硬件技术

UTM产品相对于防火墙来讲，不仅仅是功能增加了很多，检测的层次也从防火墙的网络层上升到了应用层，这对于硬件资源的占用是成百倍甚至上千倍的。由此导致的结果就是，UTM产品虽然功能很多，但在多种功能同时运行时，性能会大打折扣甚至无法运行。

只有采用高性能的硬件技术，才能实现实时的数据包检测、特征匹配、应用协议分析与处理、高速的VPN加密/解密、流量整形。显然，X86架构不能够满足要求，NP和ASIC 加速技术是目前更好的选择。因此采用更优秀的硬件平台提高性能，是UTM产品的必然趋势。

2、深度融合的技术平台

UTM产品包括防火墙、网关防病毒、IDS/IPS、VPN、内容过滤等功能模块，各种功能模块对数据的处理各有其处理方式及资源占用。如果基于某个功能模块发展起来的UTM产品，没有充分考虑到技术的深度融合，只是一味地将很多功能"简单叠加"到一起，其结果将直接影响UTM系统效率，造成整体性能下降，甚至整个设备的不可用。

所以，UTM产品需要在一个统一平台基础上，深度融合各种技术，以达到产品技术组合的最优化。

三、冷眼旁观

虽然UTM市场喧嚣火热，但据IDC最新发布的报告显示，大家寄予厚望的"统一威胁管理"UTM市场，并没有像预期那样快速成长，进而成为中国IT安全市场的中间力量。不少用户对UTM仍持有怀疑的态度：

1、性能是关键

这是最受客户关心和最被业界质疑的因素。因为硬件平台及软件系统方面的问题，目前的UTM产品在多种功能同时运行时，性能会大打折扣。作为集成网关，这将直接影响到用户的业务应用。有些UTM厂家建议，在使用初期，先打开最需要的某一功能模块，再根据变化的使用要求，逐步打开其他功能模块。但这种变通的方法恰恰与UTM多功能特性相违背，根本之道还在于采用更优秀的硬件平台以提升整体性能，这还需要很长一段路要走。

2、稳定是前提

对于安全设备来说，稳定性是尤其重要的。UTM软件系统的复杂性带来了稳定性的损失和Bug的增加。尤其是当某项功能出现问题时，极有可能导致整个设备的不可用。这不仅需要在硬件平台上下功夫，还要考虑到技术的深度融合，提高软件系统的稳定性，减少当机率、重启率。
3、功能是保障

目前UTM产品多多少少还存在"单边产品"现象，所谓单边产品就是其中某一项功能强，而其他功能相对较弱。这是由UTM厂家技术背景决定的。用户在选择产品时，要注意了解UTM产品每个功能的技术实现程度，不要简单地以功能多少评判UTM产品优劣。

例如一些UTM厂家总会拿产品中装有IPS模块来说明自己系统的完善，实际上主流IPS厂商在IPS技术方面都有较强的实力和长期的技术积淀，这是UTM厂家做不到的，孰优孰劣只要进行产品测试就可见分晓。目前，绝大部分UTM产品所获得的产品资质证书上往往赫然写着"防火墙"的字样，这一方面表明目前的UTM产品在防火墙方面做得都不错，通过了产品评测，但另一方面，对于UTM其他功能，却也许没有获得相应的产品资质，这恰恰也从侧面反映出：其它功能技术还不够成熟是不可回避的现实。

4、询价要全面

除了设备采购价格之外，客户仍需关注UTM各功能模块的服务费用。不必说UTM厂家自己提供的防火墙等产品升级服务，单说第三方厂商的软件升级如病毒库、URL库、攻击规则库等每年都需要一笔不少的费用。因此用户考虑UTM的价格时，一定要全面分析。

5、标准是助力

目前国际、国内都没有统一的标准对UTM设备的功能、性能等指标做统一的规定，加之各家实现方法不同、包含功能也不尽相同，对UTM产品的评测对比产生很大的影响，在国内，很多项目投标时，UTM设备的标书还是按照防火墙类别制定的。所以UTM规范性还需进一步统一和加强，以推动UTM市场的进一步发展。

四、何时来临

IDC 预测信息安全市场将以"波浪形"的模式发展，2004～2005 年的增长速度加快，然后到 2006～2007 年将会下降，到 2008 年重新开始上升。这个预测同时考虑了新购买和以往设备更新替代的因素。根据常规，在厂商发布新型号产品之前，市场将会增长放缓，而当厂商发布新产品时，市场增长率会提高。

所以笔者认为，随着UTM性能的提升、功能的不断增强，至少在2008年以后，UTM的时代才会真的来临。

关于绿盟科技

绿盟科技（NSFOCUS Co., Ltd.）是中国网络安全领域的领导企业，致力于网络和系统安全问题的研究、高端网络安全产品的研发、销售与网络安全服务，在入侵检测/保护、远程评估、DDoS攻击防护等方面提供具有国际竞争能力的先进产品，是国内最具安全服务经验的专业公司。

有关绿盟科技的详情请参见: http://www.nsfocus.com 。